Gibt es einen Prozess, um sicherzustellen, dass keine Malware vorhanden ist? Nein, es gibt überhaupt keine Garantien.
Es gibt jedoch verschiedene Mechanismen, um es zu erkennen, aber wenn wir ehrlich sind, sind Sie wahrscheinlich nicht so sicher, wie Sie es gerne hätten.
Ein Projekt muss zuerst zu Ubuntu hinzugefügt werden. Wie Rinzwind sagt, werden zu diesem Zeitpunkt Überprüfungen durchgeführt, aber das ist eigentlich nur die Spitze des Eisbergs, die das Leben eines Pakets in Ubuntu ist.
Die erste echte Verteidigungslinie für langfristige Pakete sind ihre Projektbetreuer. Diese Leute kümmern sich um ihre Projekte und akzeptieren Patches, um sie zu verbessern. Sie sind menschlich. Sie machen Fehler und verpassen Dinge. Und manche mögen faul sein.
Es ist möglich, dass eine schlechte Person Malware an ihnen vorbeischleicht, indem sie echte Verbesserungen zusammen mit der Malware einbindet.
Wenn der Projektbetreuer etwas Schlechtes in ein Projekt aufgenommen hat, speichern Sie ein erfolgreiches Audit. Es besteht die Möglichkeit, dass der Code auf den Rechnern der Ubuntu-Benutzer landet.
Sicherheitsüberprüfungen sind der zweite Schritt. Hierbei wird der Code überprüft und auf Monitoren ausgeführt, um böse Dinge zu erkennen. Soweit ich weiß, gibt es kein offizielles Canonical-Team, das sich der Sicherheit widmet, sondern zwei Community-Teams (Ubuntu Security und MOTU SWAT), die alle Pakete zwischen ihnen verwalten.
Die Überwachung funktioniert nur dann wirklich, wenn jede Codezeile ordnungsgemäß überprüft wird, bevor sie an die Benutzer gesendet wird. Dies ist für die Menge an Code und die Anzahl an Updates, über die wir sprechen, nicht wirklich praktisch. Es würde sehr viel Zeit und Geld kosten, dies auf diese Weise zu tun.
Es ist eine Annahme in der Open - Source - Welt, nur weil jemand kann die Quelle sehen, die sie haben. Dies ist eine sehr gefährliche Haltung.
Sicherheitskorrekturen reagieren weitgehend darauf, dass Personen Lücken finden und aufdecken. Was passiert, wenn jemand ein gefundenes Loch entdeckt?
Andere "Endbenutzer", die Probleme melden, stellen den endgültigen Erkennungsmechanismus dar. Um ehrlich zu sein, lässt gute Malware den Benutzer erst dann wissen, dass es ein Problem gibt, wenn es viel zu spät ist, um einen Unterschied zu bewirken. Gut geschriebene Malware kippt nicht Ihren Bildschirm und stiehlt nicht Ihre gesamte Bandbreite. Sie bleibt im Hintergrund und protokolliert alle Ihre Bankdaten, bevor sie an einem anonymen Speicherauszug abgelegt werden.
Der gesamte Prozess hängt von vorgelagerten Projekten ab, um das eigene Sicherheitsniveau aufrechtzuerhalten. Wenn jemand etwas an dem Betreuer des Gnome-Rechners vorbeischlüpft, wird es wahrscheinlich von allen anderen auf der ganzen Linie verpasst. Ein Sicherheitsteam wird es auch nie ahnen.
Zum Glück sind die meisten Betreuer gut darin, was sie tun. Sie kennen ihre Codebasis und wenn sie Patches nicht verstehen, lehnen sie sie mit der Begründung ab, dass sie nicht klar genug sind.
In Bezug auf die Risikobewertung gibt es wahrscheinlich weniger Augen, die den Code überprüfen, wenn etwas verwendet wird, das viel weniger beliebt ist. In ähnlicher Weise gibt es wahrscheinlich weniger Commits. Solange der Betreuer nicht faul (oder böse) ist, hat er möglicherweise mehr Zeit, sich um jedes Commit zu kümmern. Es ist schwer genau zu sagen, wie viel Risiko Sie eingehen. Die Sicherheit von Open-Source-Software hängt von fähigen Personen ab, die sich den Code ansehen.
Umgekehrt sind die Closed-Source-Artikel (in den Partner- und Kauf-Repos) von der Community völlig ungeprüft. Canonical hat möglicherweise einen Quellenzugriff, aber offen gesagt bezweifle ich, dass sie über die Ressourcen verfügen, um gründliche Audits durchzuführen, selbst wenn sie Quellenzugriff hatten und dies wollten.
In ähnlicher Weise erhalten Sie bei PPAs nur sehr geringen Schutz, wenn Sie selbst in die Quelle eintauchen möchten. Benutzer können dem Quellcode hinzufügen, was immer sie möchten. Wenn Sie es nicht selbst überprüfen (und in der Lage sind, Malware zu erkennen), sind Sie ein Schaf, das von Wölfen umgeben ist. Leute können schlechte PPAs melden, aber etwas, das geschieht, hängt von anderen Leuten ab, die das Problem überprüfen und bestätigen. Wenn eine große Site (z. B. OMGUbuntu) eine PPA empfiehlt (wie so oft), können viele Benutzer Probleme auf der ganzen Linie haben.
Um das Problem zu verschlimmern, bedeutet der geringere Marktanteil der Linux-Benutzer, dass nur weniger Software für uns verfügbar ist, um schlechten Code aufzuspüren. Ich hasse es, es zu sagen, aber zumindest mit Windows verbringen Dutzende von Unternehmen jeden Arbeitstag damit, herauszufinden, wie fehlerhafte Software funktioniert, wie sie erkannt und wie sie entfernt werden kann. Das war ein Markt, der aus der Notwendigkeit geboren wurde, und obwohl ich es hasse, das auch zu sagen, werden sich die Dinge hier wahrscheinlich verschlechtern, bevor sie besser werden.
Für die Sicherheitsparanoiden habe ich vor einiger Zeit einen kurzen Artikel geschrieben: Linux ist nicht unverwundbar. Sag nicht, dass es so ist. . Dinge in das Repository zu schleichen wird wahrscheinlich nicht der primäre Angriffsvektor für die Arschlöcher sein, die Malware verbreiten. Es ist weitaus wahrscheinlicher (IMO), dass sie die Gier und Dummheit der Benutzer ausnutzen, um infizierte .debs zu installieren.